ClawHavoc: 341 สกิล ClawHub ที่เป็นอันตราย และจำนวนที่นับได้ซึ่งยังคงเปลี่ยนแปลงไปเรื่อย ๆ

เมื่อวันที่ 1 กุมภาพันธ์ 2026 บริษัทด้านความปลอดภัย Koi Security ได้เผยแพร่ผลการตรวจสอบ ClawHub ซึ่งเป็นตลาดทักษะที่ผูกกับเอเจนต์ AI โอเพนซอร์ส OpenClaw: จาก 2,857 ทักษะที่ระบุไว้ มี 341 รายการที่ถูกรายงานว่าเป็นอันตราย โดย 335 รายการถูกโยงไปยังปฏิบัติการที่ประสานงานกันเพียงหนึ่งเดียวซึ่งถูกตั้งชื่อว่า ClawHavoc ซึ่งคิดเป็นต่ำกว่า 12 เปอร์เซ็นต์ของตลาดเล็กน้อย เพย์โหลดหลักคือ Atomic Stealer หรือที่รู้จักในชื่อ AMOS ซึ่งเป็นตัวขโมยข้อมูล macOS แบบที่หาได้ทั่วไปในตลาดที่ The Hacker News รายงานว่ามีให้เช่าในราคาประมาณ 500–1,000 ดอลลาร์ต่อเดือน และมันเข้ามาผ่านขั้นตอนที่ผู้ใช้มีแนวโน้มทำตามโดยไม่คิดมากที่สุด — ส่วน "Prerequisites" ที่บอกให้ติดตั้งอีกอย่างหนึ่งก่อน ผู้ใช้ Windows ถูกชี้ไปยังไฟล์ ZIP ที่ป้องกันด้วยรหัสผ่านบน GitHub ส่วนผู้ใช้ macOS ถูกชี้ไปยังคำสั่งเชลล์ที่โฮสต์อยู่บน glot.io และถูกบอกให้วางลงใน Terminal รายการของคลังเองสำหรับแคมเปญนี้ พร้อมเกรดความรุนแรงและความเชื่อมั่น อยู่ใน Orca AI Incident Archive เคียงข้างเหตุการณ์ในห่วงโซ่อุปทานอื่น ๆ ที่บันทึกไว้ในสัปดาห์นั้น

สิ่งที่ Koi มองจริง ๆ

ClawHub คือตลาดชุมชนที่อยู่เคียงคู่กับ OpenClaw ผู้ช่วย AI แบบโฮสต์เองซึ่งเดิมรู้จักกันในชื่อ Clawdbot และ Moltbot Skills คือกลไกส่วนขยาย: ชุดคำสั่งที่แพ็กเกจพร้อมสคริปต์ซึ่งสอนเอเจนต์ให้ทำสิ่งใดสิ่งหนึ่งโดยเฉพาะ — อ่านกระเป๋าเงิน Solana สรุปวิดีโอ YouTube ติดตามราคาบน Polymarket การติดตั้งสกิลหนึ่งรายการหมายถึงการให้สิทธิ์เข้าถึงในขอบเขตเดียวกับที่เอเจนต์มี

Koi ดำเนินการตรวจสอบด้วยบอต OpenClaw ของตัวเองชื่อ Alex ตามรายงานของ The Hacker News ฉบับวันที่ 2 กุมภาพันธ์ นักวิจัยที่ถูกอ้างถึงในรายงานนั้นคือ Oren Yomtov อธิบายกลลวงอย่างตรงไปตรงมาว่า "คุณติดตั้งสิ่งที่ดูเหมือนสกิลที่ถูกต้องตามกฎหมาย — อาจเป็น solana-wallet-tracker หรือ youtube-summarize-pro เอกสารประกอบของสกิลดูเป็นมืออาชีพ แต่มีส่วน 'Prerequisites' ที่ระบุว่าคุณต้องติดตั้งบางอย่างก่อน"

เหตุผลที่ยังมีตลาดให้วางยาพิษได้ตั้งแต่แรกก็คือ ClawHub เปิดใช้งานโดยค่าเริ่มต้น The Hacker News รายงานว่าใครก็สามารถอัปโหลดได้ และข้อจำกัดเดียวในขณะนั้นคือบัญชี GitHub ของผู้เผยแพร่ต้องมีอายุอย่างน้อยหนึ่งสัปดาห์ รายงานของ Koi เองระบุว่าแพลตฟอร์มนี้ "แทบไม่มีกลไกตรวจสอบความปลอดภัยเลย" ซึ่งเป็นข้อความที่ Antiy CERT ยกมาอ้างในบทวิเคราะห์ของตนเอง

เพย์โหลดมาถึงได้อย่างไร

วิธีการส่งมอบนั้นแตกต่างกันไปตามระบบปฏิบัติการ แต่รูปแบบกลับเหมือนกัน นั่นคือ ตัวสกิลเองแทบจะไม่มีอันตรายเลย และอันตรายนั้นอยู่ที่คำแนะนำในการติดตั้ง

บน Windows เอกสารดังกล่าวลิงก์ไปยัง GitHub release ที่มีไฟล์ ZIP ซึ่งป้องกันด้วยรหัสผ่าน ภายในเป็นโทรจันที่มีความสามารถบันทึกการกดคีย์ โดยมุ่งเป้าไปที่ API key ข้อมูลรับรอง และสิ่งอื่นใดก็ตามที่บอตบนเครื่องนั้นเข้าถึงได้อยู่แล้ว — ซึ่งบนโฮสต์ของเอเจนต์ถือเป็นปริมาณมหาศาล รายงานของ Antiy CERT ระบุว่าไฟล์เก็บถาวรเหล่านี้มักมีรหัสผ่านหนึ่งในสามรหัส (1202, openclaw หรือ 1234) และตั้งข้อสังเกตถึงจุดประสงค์ของการเข้ารหัสว่า มันช่วยให้ไฟล์ผ่านการสแกนของ GitHub เองและผ่านการสแกนแบบเรียลไทม์บนเครื่องของเหยื่อได้

• บน macOS เอกสารแนะนำให้ผู้ใช้คัดลอกสคริปต์ที่โฮสต์อยู่ที่ glot[.]io แล้ววางลงใน Terminal สคริปต์นั้นรันคำสั่งเชลล์แบบ obfuscated ติดต่อไปยัง 91.92.242[.]30 เพื่อขอสคริปต์ตัวที่สอง และสคริปต์นั้นดึงไบนารี Mach-O แบบยูนิเวอร์แซล — บิลด์เดียวที่ใช้ได้ทั้ง Intel และ Apple Silicon

Koi ประเมินว่าไบนารีนั้นมีลักษณะที่สอดคล้องกับ AMOS OpenSourceMalware ซึ่งเป็นหน่วยวิจัยที่ดำเนินการโดย Paul McCarty รายงานแคมเปญเดียวกันในวันเดียวกัน และประเมินตัวอย่างของตนเองแตกต่างออกไปเล็กน้อย: น่าจะเป็นสายพันธุ์ใหม่ของ NovaStealer รายงานทั้งสองฉบับเห็นตรงกันในเรื่องโครงสร้างพื้นฐาน กลลวง และข้อมูลเป้าหมาย — คีย์ API ของแพลตฟอร์มแลกเปลี่ยน ไฟล์กระเป๋าเงิน ข้อมูลส่วนขยายเบราว์เซอร์รวมถึง MetaMask วลีซีด Keychain ของ macOS รหัสผ่านเบราว์เซอร์ที่บันทึกไว้ คีย์ SSH ข้อมูลรับรองระบบคลาวด์และ Git .env — แต่ไม่ตรงกันอย่างแม่นยำในเรื่องชื่อตระกูล การระบุแหล่งที่มาทั้งสองรายการเป็นการประเมินของนักวิจัยเอง

ไม่ใช่ทุกสกิลที่เป็นอันตรายจะเป็นเหยื่อล่อที่อ้างเป็นข้อกำหนดเบื้องต้นของ ClawHavoc Koi รายงานสกิล — รวมถึง better-polymarket และ polymarket-all-in-one — ซึ่งซ่อนแบ็กดอร์ reverse shell ไว้ในโค้ดที่ทำงานได้ตามปกติ ดังนั้นการถูกบุกรุกจึงเกิดขึ้นระหว่างการใช้งานปกติ ไม่ใช่ตอนติดตั้ง อีกตัวหนึ่งคือ rankaj ได้ส่งข้อมูลรับรองของบอตที่จัดเก็บไว้ใน ~/.clawdbot/.env ไปยังปลายทาง webhook[.]site ชื่อถูกสร้างมาให้อ่านผิดได้เมื่ออ่านเร็ว ๆ: clawhubb, cllawhub, clawwhub, clawhubcli พร้อมกับชื่อเลียนแบบในหมวด crypto, YouTube, auto-updater และ Google Workspace.

Antiy CERT เสริมรายละเอียดหนึ่งที่น่าตั้งข้อสังเกตในฐานะการประเมินของตนมากกว่าข้อค้นพบ: ระบุว่าเอกสารประกอบเกี่ยวกับทักษะเหล่านี้มีความยาว 500–700 บรรทัด และ "น่าจะสร้างโดย AI ด้วยเช่นกัน" นั่นเป็นการอนุมานจากความยาวและความสม่ำเสมอของเอกสาร ไม่ใช่สิ่งที่รายงานพิสูจน์ได้

จำนวนไม่ใช่ตัวเลขเดียว

ตัวเลขที่ตาม ClawHavoc ไปทั่วไม่คงที่ และเหตุผลก็คือการตรวจสอบเหล่านั้นตอบคำถามที่แตกต่างกันในแต่ละวัน

ตัวเลข 341 ของ Koi เป็นการนับรายการที่ยังเผยแพร่อยู่ ณ ขณะที่ทำการสแกน: รายการอันตราย 341 รายการจาก 2,857 สกิลที่ตรวจสอบ โดย 335 รายการอยู่ในแคมเปญเดียวกัน ตัวเลขของ OpenSourceMalware อธิบายถึงระลอกการเผยแพร่ มากกว่าภาพรวมของตลาด ณ ขณะใดขณะหนึ่ง — สกิลอันตราย 28 รายการที่เผยแพร่ระหว่างวันที่ 27 ถึง 29 มกราคม จากนั้นอีก 386 รายการระหว่างวันที่ 31 มกราคมถึง 2 กุมภาพันธ์ ซึ่งเชื่อมโยงกับบัญชีผู้เผยแพร่เจ็ดบัญชี โดย 354 รายการในชุดที่สองมาจากบัญชีเดียวคือ hightower6eu ส่วนตัวเลข 1,184 ของ Antiy CERT เป็นการนับข้อมูลย้อนหลัง: แพ็กเกจอันตรายที่ตรวจพบในคลังของ ClawHub ณ วันที่ 5 กุมภาพันธ์ ซึ่งเชื่อมโยงกับ ID ผู้เขียน 12 ราย โดย hightower6eu มี 677 และ sakaen736jih มี 390 Antiy ยังบันทึกว่าแพ็กเกจ 60 รายการจากผู้อัปโหลดรายเดียวคือ moonshine-100rze ยังเข้าถึงได้ ณ เวลาที่เผยแพร่ และมียอดดาวน์โหลดสะสม 14,285 ครั้ง และแพลตฟอร์มมีสกิลอยู่ 3,498 รายการหลังจากมีการลบออกเป็นวงกว้างแล้ว

จากนั้นก็มี 824 บันทึกของคลังข้อมูลระบุว่าตัวเลขนี้เป็นการแก้ไขภายหลัง แต่ไม่ได้สืบย้อนไปยังสิ่งพิมพ์ปฐมภูมิที่ระบุวันที่ได้เหมือนตัวเลขอื่น ๆ ที่สืบย้อนไปยัง Koi, OpenSourceMalware และ Antiy สิ่งที่พบคือคำวิจารณ์ของบุคคลที่สามในภายหลัง เช่นโพสต์ Hacker News ในเดือนมีนาคม 2026 โดยผู้เขียนเครื่องสแกนทักษะ (skill scanner) ซึ่งบรรยายว่า “ทักษะอันเป็นอันตราย 824 รายการ (20% ของ ClawHub)” โดยไม่ได้ระบุชื่อการตรวจสอบที่อยู่เบื้องหลัง การคำนวณตรงนั้นก็ไม่ลงตัวกับตัวเลขอื่นที่เผยแพร่เช่นกัน: 824 คิดเป็นต่ำกว่า 29 เปอร์เซ็นต์ของ 2,857 เล็กน้อย ดังนั้น “20 เปอร์เซ็นต์” จึงบ่งชี้ถึงตัวส่วนที่แตกต่างออกไปอีก ซึ่งไม่ได้ระบุไว้ ควรถือเป็นตัวเลขที่หมุนเวียนอยู่ มากกว่าจะเป็นตัวเลขที่มีระเบียบวิธีเผยแพร่ ข้อควรระวังเดียวกันนี้ใช้กับตัวแปร “1,200+” ที่ปรากฏในบทความภายหลัง

สิ่งเหล่านี้ไม่ได้ผิดอะไรมากนัก แต่เป็นสิ่งที่เทียบกันไม่ได้มากกว่า: รายการ ณ ขณะใดขณะหนึ่ง การเผยแพร่ตลอดช่วงเวลาหนึ่ง และประวัติทั้งหมดของรีโพซิทอรี เป็นตัวหารที่แตกต่างกันสามแบบ และตัวแปรแบบ typosquat อาจเป็นหนึ่งรายการหรือหลายรายการก็ได้ ขึ้นอยู่กับว่าผู้ที่นับจัดกลุ่มมันอย่างไร

OpenClaw เปลี่ยนแปลงอะไรไปบ้าง

สองเรื่อง ทั้งสองเกิดขึ้นภายในสัปดาห์ถัดจากการเปิดเผยของ Koi

กลไกแรกคือการรายงานโดยผู้ใช้ Hacker News รายงานว่าผู้สร้าง OpenClaw อย่าง Peter Steinberger ได้เปิดตัวฟีเจอร์ที่ให้ผู้ใช้ที่ลงชื่อเข้าใช้สามารถรายงานสกิลได้ โดยเอกสารระบุว่าผู้ใช้แต่ละคนสามารถมีรายงานที่ยังมีผลอยู่ได้สูงสุด 20 รายการ และ "สกิลที่มีรายงานจากผู้ใช้ที่แตกต่างกันมากกว่า 3 รายการจะถูกซ่อนอัตโนมัติโดยค่าเริ่มต้น" นั่นเป็นกลไกคัดกรอง ไม่ใช่ตัวสแกน และมันขึ้นอยู่กับว่ามีคนสังเกตเห็นก่อน

รายการที่สองคือความร่วมมือกับ VirusTotal ซึ่งประกาศโดย OpenClaw เมื่อวันที่ 7 กุมภาพันธ์ 2026 ตามที่อธิบายไว้ในโพสต์ของ OpenClaw เอง: ทุกชุดสกิลจะถูกแพ็กเกจแบบดีเทอร์มินิสติกเป็นไฟล์ ZIP ที่มีการบีบอัดและเวลาประทับที่สอดคล้องกัน พร้อมกับ _meta.json ที่บรรจุข้อมูลผู้เผยแพร่และเวอร์ชัน; มีการสร้างแฮช SHA-256; แฮชจะถูกตรวจสอบกับข้อมูลข่าวกรองภัยคุกคามของ VirusTotal และหากยังไม่มีผลตัดสิน ชุดสกิลจะถูกอัปโหลดผ่าน API v3 ของ VirusTotal ฟีเจอร์ Code Insight ของ VirusTotal — การตรวจสอบที่ขับเคลื่อนด้วย LLM ซึ่งโพสต์ของ OpenClaw ระบุว่า "ขับเคลื่อนโดย Gemini" — อ่านแพ็กเกจทั้งหมดโดยเริ่มจาก SKILL.md ผลตัดสินเป็นตัวกำหนดการดำเนินการ: สกิลที่ปลอดภัยจะได้รับการอนุมัติอัตโนมัติ สกิลที่น่าสงสัยจะมีการเตือนแต่ยังคงมองเห็นได้ สกิลที่เป็นอันตรายจะถูกบล็อกจากการดาวน์โหลด สกิลที่ใช้งานอยู่ทั้งหมดจะถูกสแกนซ้ำทุกวัน และผลบวกลวงที่สงสัยให้ส่งไปที่ [email protected]

OpenClaw ระบุอย่างชัดเจนถึงข้อจำกัดในโพสต์เดียวกัน โดยเรียกการผสานรวมนี้ว่า “ไม่ใช่ทางแก้ที่วิเศษสุด” และเตือนว่า “การสแกนที่สะอาดไม่ได้หมายความว่าสกิลจะปลอดภัย” เนื่องจากการบิดเบือนด้วยภาษาธรรมชาติและการ prompt injection อาจไม่ถูกตรวจพบด้วยซิกเนเจอร์หรือฐานข้อมูลภัยคุกคาม การประเมินของ Antiy CERT ชี้ไปในทิศทางเดียวกันจากมุมมองภายนอก โดยระบุว่าฟีเจอร์การรายงานนั้นจำเป็นแต่ยังห่างไกลจากความเพียงพอ และโต้ว่าการป้องกันในระดับสโตร์ต้องอาศัยการวิเคราะห์แบบสแตติก การวิเคราะห์โค้ดและการวิเคราะห์เชิงความหมาย การรันในแซนด์บ็อกซ์ และทีมตอบสนองที่อยู่เบื้องหลังสิ่งเหล่านี้

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

ขอเริ่มด้วยหมายเหตุเกี่ยวกับแหล่งที่มาก่อน เพราะสิ่งนี้สำคัญต่อทุกเรื่องที่กล่าวมาข้างต้น โพสต์ต้นฉบับของ Koi ไม่สามารถเข้าถึงได้ที่ที่อยู่ซึ่งเผยแพร่ไว้อีกต่อไป URL koi.ai ที่คลังเก็บข้อมูลอ้างอิงขณะนี้เปลี่ยนเส้นทางไปยังหน้าผลิตภัณฑ์ Cortex ของ Palo Alto Networks หลังจากที่ Palo Alto Networks เข้าซื้อกิจการ Koi ซึ่งบริษัทประกาศว่าเสร็จสิ้นเมื่อวันที่ 14 เมษายน 2026 ดังนั้น ตัวเลขและคำพูดของ Koi ที่ปรากฏที่นี่จึงนำมาจากสื่อที่ได้อ่านรายงานขณะที่ยังเผยแพร่อยู่ — The Hacker News เมื่อวันที่ 2 กุมภาพันธ์, eSecurity Planet เมื่อวันที่ 3 กุมภาพันธ์, Gadget Review เมื่อวันที่ 11 กุมภาพันธ์ — และจาก Antiy CERT ซึ่งอ้างอิงรายงานของ Koi โดยตรงในบทวิเคราะห์เดือนกุมภาพันธ์ของตนเอง สำหรับบทความนี้ ไม่สามารถอ่านโพสต์ของ Koi เองได้

ยืนยันแล้วว่า Koi ตรวจสอบสกิล 2,857 รายการ และรายงานว่า 341 รายการเป็นอันตราย โดย 335 รายการอยู่ในแคมเปญเดียว; กลไกการล่อด้วยข้อกำหนดเบื้องต้นบนระบบปฏิบัติการทั้งสองระบบ; ที่อยู่ command-and-control 91.92.242[.]30; reverse-shell และ.envซึ่งเป็นค่าผิดปกติที่เกี่ยวข้องกับการขโมยข้อมูล; ฟีเจอร์การรายงาน; และการผสานรวม VirusTotal กับไปป์ไลน์ที่อธิบายข้างต้น ความเสียหายที่เกิดขึ้นจริงไม่ต้องสงสัย — Antiy บันทึกการดาวน์โหลด 14,285 ครั้งจาก 60 แพ็กเกจที่ยังเข้าถึงได้ โดยมาจากผู้อัปโหลดรายเดียว และ OpenSourceMalware ประเมินยอดรวมของผู้เผยแพร่รายหนึ่งไว้ที่เกือบ 7,000 ดาวน์โหลด — และข้อมูลที่เพย์โหลดมุ่งโจมตีก็คือข้อมูลที่โฮสต์ของเอเจนต์รวมศูนย์ไว้อย่างแน่นอน: คีย์กระเป๋าเงิน คีย์ API ของตลาดแลกเปลี่ยน คีย์ SSH โทเค็นระบบคลาวด์ และรหัสผ่านเบราว์เซอร์

แตกต่าง: จำนวน เนื่องจากเหตุผลในหัวข้อด้านบน และป้ายชื่อตระกูลมัลแวร์

ยังไม่มีการยืนยัน อย่างน้อยก็ในสิ่งใดก็ตามที่ตีพิมพ์และบทความนี้สามารถอ่านได้ ว่ามีคนติดตั้งสกิลที่เป็นอันตรายจริงกี่คน มีข้อมูลรับรองถูกขโมยกี่รายการ หรือมีเงินหรือคีย์ที่ถูกขโมยใดบ้างที่ถูกติดตามจนพบ Antiy กล่าวว่าสกิลที่เป็นอันตราย “ถูกดาวน์โหลดหลายพันครั้ง ส่งผลกระทบต่อผู้ใช้ Windows และ macOS” — นั่นเป็นการประเมินการเปิดรับความเสี่ยง ไม่ใช่จำนวนเหยื่อ และยังไม่มีผู้เผยแพร่รายใดให้ตัวเลขดังกล่าว เช่นเดียวกัน ไม่มีการระบุว่าทั้ง 341 รายการออนไลน์อยู่ทั้งหมดในขณะที่ Koi เผยแพร่หรือไม่

ข้อเท็จจริงที่คงทนคือรูปร่างของความล้มเหลว มากกว่าตัวเลขการคำนวณ ตลาดที่ใครก็เผยแพร่ได้ ซึ่งอยู่ในระบบนิเวศที่การติดตั้งแพ็กเกจหมายถึงการมอบข้อมูลรับรองของเอเจนต์ให้กับแพ็กเกจนั้น ได้ก่อให้เกิดแคมเปญที่การโจมตีทั้งหมดมีเพียง README ที่บอกให้ผู้ใช้รันอะไรบางอย่าง — และการป้องกันอัตโนมัติครั้งแรกก็มาถึงในอีกหกวันต่อมา โดยมุ่งไปที่ลายเซ็นและการตรวจทานโมเดล มากกว่าที่โมเดลความไว้วางใจซึ่งทำให้เหยื่อล่อนั้นได้ผล